Freebsd vs IPFW vs FWD подскажите.

[ksvserega]

Дано: сервер№1 (далее С1 и т.д.) с внутренними 192.168.10.1 и 192.168.11.1 + внешний IP_1 c инетом, сервер №2 192.168.11.5, и С3 192.168.10.10 + внеш. IP_2 с инетом
как работает: на С2 шлюзом по умолчанию стоит С1 (192.168.11.1), и инет он получает через внеш IP_1
как надо: зарулить на С2 инет через С3
зачем: через С2 по WiFi (сетка 192.168.12.0) народу раздаётся инет, т.е. человек платит деньгу, ему выдается логин и пароль, авторизация сделана с помощью netams, все настройки клиент получает автоматом. Если прописать ручками в браузере клиенту прокси на С3, то инет ходит как положено через С3, без прокси через С1. Но люд же бестолковый, поэтому надо либо браузеру автоматом выдавать этот прокси (хз как это сделать, да и браузеров море), либо заставить С2 ходить за инетом самой на С3.
что делал: прописал в ipfw на С1 правило
fwd 192.168.10.10,3113 tcp from 192.168.11.5 to any dst-port 80
фаер это съел, счетчики пошли, НО инет по прежнему работает через С1, а на С3 пакетов нет.
запрещаю ходить С2 в инет через С1, и здесь я прозреваю - инет работает, коменчу вышенаписанный форвард - инета на С2 нет.
Получается, что форвард отрабатывает, но почему тогда на С3 tcpdump ниче не показывает, да и по скорости видно, что инет приходит через С1
(на С1 канал 2 мегабита, на С3 - 10 мегабит)
Подскажите, в каком месте я балбес, либо другой вариант решения проблемы.
на С1 и С3 FreeBsd 7.1, на С2 Freebsd 6.3

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[Alex Keda]

нихрена не понял
картинку давайте

[ksvserega]

ща нарисую

[ksvserega]

так вроде нагляднее

[paradox]

fwd 192.168.10.10,3113 tcp from 192.168.11.5 to any dst-port 80

интерфейс нужно указывать

[ksvserega]

интерфейс тот который 10.1?

[paradox]

интерфейс тот где вы ловите

[ksvserega]

переделал так
fwd 192.168.10.10,3113 tcp from 192.168.11.5 to any dst-port 80 via msk1
msk1=11.1
ничего не изменилось

[paradox]

значит нужно еще учитывать one_pass

[ksvserega]

выключил
не помогло, сцуко

[ksvserega]

форвард может не работать из-за того, что ядро собрано только с IPFIREWALL_FORWARD, но без IPFIREWALL_FORWARD_EXTENDED ?

[zingel]

а что в sysctl на этот счет, что там из форвардов включено?

[мимо проходил]

Вообще зачем ipfw юзаете? не проще ли настроить маршрутизацию на С2?

[mediamag]

Вообще зачем ipfw юзаете? не проще ли настроить маршрутизацию на С2?

если так подходить к проблеме - лучше не решать ее вообще....как говорил товарищ лисяра "самый лучший фаервол - правельно настроенный"